保守丸投げの罠！公的データで判明した委託先侵害の責任分解点

「システムのセキュリティはすべて外部のIT保守会社に任せているから問題ない」――そう考えている経営者の盲点を突いた、委託先経由のサプライチェーン攻撃による情報漏洩被害が後を絶ちません。

先日、年商約6億円規模の卸売企業を経営される社長様からも切実なご相談をいただきました。自社サーバーの運用を長年一任していた委託業者がサイバー攻撃を受け、委託先がリモート保守用に使っていたVPN機器の脆弱性から自社基幹システムに侵入され、全顧客データが外部へ流出。被害発覚後、経営者が委託先へ損害賠償を求めたものの、契約書上は月額保守費用の数ヶ月分しか賠償上限が設定されておらず、結果として自社が矢面に立って数千万円規模の対応責任を負うことになった事例でした。

法律上（個人情報保護法第25条等）、委託先が起こした事故であっても「委託元の監督責任」が厳しく問われます。本稿では、公的機関の公表データをもとに委託先侵害の実態を整理し、現場で明日から0円で導入できるサプライチェーン防衛術を解説します。

【公的統計エビデンスと被害額の内訳】

警察庁「サイバー空間をめぐる脅威の情勢等」およびIPA（情報処理推進機構）の公表データによると、ランサムウェア侵入経路の約6割以上がVPN機器等のリモートアクセス経由であり、その多くに「外部委託先・保守用アカウントの管理不備」が介在しています。また、損保各社の事故調査実績における平均対応総額は約2,500万円〜3,200万円に上ります。
【被害費用の客観的内訳】
・侵入経路・影響範囲のフォレンジック調査費用：約900万〜1,600万円
・委託先との契約確認・被害者対応に伴う弁護士費用：約300万〜600万円
・システム停止による業務停止損失および再構築費：約600万〜1,000万円
・顧客・取引先への通知・お詫び・見舞金対応：数百万円〜数千万円規模

1. なぜ起こったのか？（事件の客観的原因分析）

委託先経由でインシデントが発生する最大の原因は、「責任の所在（責任分解点）が曖昧なままの契約」と「常時開放されたリモートアクセス権限」にあります。

多くの企業では、IT保守を依頼する際「何かあったら対応してください」という包括的な口約束に近い契約を結び、管理者権限（フルアクセス権）を外部業者に無制限で渡しています。しかし、委託業者側が設定しているID・パスワードが簡易なものであったり、保守用VPNの二要素認証が無効化されたまま放置されていたりすることで、委託先が「踏み台」と化して自社へ不正侵入されるケースが急増しています。さらに契約書上、業者の免責条項が設定されている場合、金銭的損害はほぼすべて委託元企業が被ることになります。

2. どうすれば防げたのか？（被害者側の0円防衛実務）

新たなセキュリティシステムを契約しなくても、自社での「アクセス運用の見直し」と「委託契約の棚卸し」を行うだけで、サプライチェーン攻撃のリスクは劇的に低減できます。

3. 明日から社内でゼロ円でできる基本防衛のステップ

1. 保守用リモート接続を「常時オン」から「都度許可制」に変える
   委託業者がいつでも自社ネットワークに入れる状態を即座に停止します。保守作業がある日時だけ自社側でVPN接続を有効にし、作業終了後に即座に切断する運用に改めるだけで、侵入ルートは消滅します。
2. 「共有アカウント」を即時廃止し、委託先の利用ログを記録する
   委託業者に「admin」などの共通管理者アカウントを渡すのをやめ、作業者専用の個別IDを払い出します。誰がいつ自社サーバーにログインしたかを把握できる状態を作ります。
3. 保守契約書の「損害賠償上限」を今すぐ確認する
   自社が結んでいる委託契約書を取り出し、「損害賠償の制限」条項を確認します。「委託料の1ヶ月分を上限とする」等の不条理な制限がある場合、万が一の漏洩時に委託元が全損害を被るリスクを経営陣が把握してください。

4. 最後のセーフティネットとしての見極め方

委託先のセキュリティ対策水準を自社で完全に管理・統制することは実務上困難です。委託先の倒産や免責により、自社が巨額の賠償責任を背負わされるリスクに備えるのがサイバー保険の役割です。

保険選定における客観的判断基準は、「委託先・サプライチェーン経由の不正アクセスによる被害が補償対象に含まれているか」、そして「自社が被害者への見舞金や賠償金を支払った際、委託先へ求償できない場合でも保険金が支払われる設計になっているか」です。他社が引き金となった事故であっても自社の資金繰りを破綻させないための防波堤を確保しておくことが肝要です。

5. まとめ

「ITはプロに任せているから安全」というのは重大な誤解です。個人情報保護法上も、委託先を管理・監督する義務は発注元の経営者にあります。「リモート接続は必要な時だけ繋ぐ」「権限を丸投げしない」。この0円の運用原則を直ちに現場へ指示し、サプライチェーンの盲点を塞いでください。